CVE-2024-12029
Remote Code Execution via Model Deserialization in invoke-ai/invokeai
Vexday Risk Score
63Prioridade alta
Decisão SSVC (CISA)
Attend
PoC disponível → acompanhar de perto
CVSS 9.8EPSS 5.3%KEV nãoPoC públicaNuclei —Metasploit simPatch —
Ciclo de vida
07 fev 2025Exploit Metasploit disponível
20 mar 2025Publicada no NVD
15 abr 2026PoC pública
Recomendação: Planejar correção próxima — já existe PoC pública.
A remote code execution vulnerability exists in invoke-ai/invokeai versions 5.3.1 through 5.4.2 via the /api/v2/models/install API. The vulnerability arises from unsafe deserialization of model files using torch.load without proper validation. Attackers can exploit this by embedding malicious code in model files, which is executed upon loading. This issue is fixed in version 5.4.3.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
invoke-ai · invoke-ai/invokeaiPoCs públicas encontradas — 1
githubgithub.com/Lu3ky13/Alternative-Approach-Reverse-Shell-Callback-Test-InvokeAI-RCE★ 0⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Quer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →